Anthropic heeft OSS Scanner aangekondigd: een opt-in kwetsbaarheidsscanner voor open-source projecten, aangedreven door AI. De dienst is bedoeld om het ecosysteem van vrij beschikbare software beter te beveiligen door automatisch en regelmatig mogelijke kwetsbaarheden te identificeren.
De aanpak sluit aan bij de groeiende behoefte aan snellere feedbackloops in security. Waar veel open-source teams wachten op sporadische analyses of externe meldingen, probeert Anthropic nu periodiek onderzoek mogelijk te maken met krachtige modellen.
Wat is OSS Scanner en wat levert het op?
OSS Scanner is ontworpen als een optionele service die projecten kunnen inschakelen om periodiek scans te laten draaien. De scans worden uitgevoerd met “sterkste modellen” die Anthropic inzet, waaronder Claude Mythos. Op basis van die output genereert de dienst rapporten over mogelijke security issues.
Een belangrijk punt is dat de rapporten volledig door het model worden gegenereerd. Volgens Anthropic vereisen de outputbestanden geen menselijke review of triage door de organisatie zelf. Dat moet de doorlooptijd verkorten en het mogelijk maken om vaker te scannen.
Opt-in deelname: hoe meld je een project aan?
Core maintainers kunnen zich aanmelden door een pull request te openen in de GitHub-repository van OSS Scanner. Daarbij hoort een YAML-configuratiebestand met specifieke gegevens. Anthropic geeft aan dat de service werkt met een reeks criteria om projecten te selecteren, vergelijkbaar met de manier waarop Google OSS-Fuzz projecten kiest. Welke criteria precies gelden, kan volgens Anthropic in de tijd veranderen.
Voor een succesvolle inschrijving heeft Anthropic minimaal een aantal configuratie-elementen nodig. Denk aan een beschrijving van het project (in gevallen waarin de relevantie niet al voor iedereen duidelijk is) en technische informatie die de scanner helpt om de omgeving correct op te bouwen.
Wat moet er in de YAML-configuratie staan?
In de YAML moeten onder andere de volgende onderdelen worden opgenomen:
- Link naar de Git-repository die de scanner moet clonen.
- Contactinformatie: een e-mailadres voor de primaire contactpersoon.
- Pad naar een Dockerfile binnen de repository. Die Dockerfile moet de omgeving klaarzetten: dependencies vooraf installeren en het project kunnen bouwen, zodat een offline agent de security audit kan uitvoeren.
Anthropic benadrukt dat de Dockerfile de runtime-omgeving bepaalt en alle benodigde pakketten installeert. Het doel is dat de audit kan plaatsvinden zonder internettoegang. Om de betrouwbaarheid te vergroten, adviseert Anthropic om ook te controleren dat de testcases slagen binnen de gebouwde container.
Optionele velden voor rapportafhandeling
Naast het minimum staan er ook extra gegevens optioneel open voor teams die hun meldstroom strakker willen regelen. Je kunt in de YAML bijvoorbeeld:
- extra e-mailadressen opgeven voor CC in alle rapporten;
- een projecthomepagina toevoegen;
- een GPG publieke sleutel meegeven om rapport-e-mails te versleutelen;
- een pad opnemen naar een threat model-bestand (bijvoorbeeld threat_model.md) met informatie over wat getest moet worden, hoe kwetsbaarheden geclassificeerd worden en welke rapportformats je verwacht;
- uitzetten dat je bugreports ontvangt door disabled: true te gebruiken.
Hoe worden meldingen en disclosure behandeld?
OSS Scanner is niet bedoeld als “klassieke” bugbounty met harde disclosure-vensters. Anthropic geeft aan dat de organisatie geen 90-dagen disclose-periode van plan is op basis van de uitkomsten. Dat maakt de kans op snelle updates groter, maar het vraagt tegelijk om een realistische beoordeling: omdat AI-rapporten ook fout-positieven kunnen bevatten, wil Anthropic het rapportageproces pragmatisch houden.
De huidige werkwijze die Anthropic schetst, is als volgt: als een rapport later handmatig wordt gevalideerd via hun bestaande CVD-programma, dan kan het onder de CVD-policy vallen. Daarbij geldt volgens Anthropic dat bekendmaking pas start 90 dagen nadat je bent geïnformeerd dat een mens het rapport heeft gevalideerd.
Daarnaast stelt Anthropic dat ze naarmate ze meer vertrouwen krijgen in de prestaties van OSS Scanner, in de toekomst mogelijk disclosure-periodes gaan opleggen voor sommige kwetsbaarheden met hoge ernst.
Al ingediend: wat weten we over de eerste resultaten?
Op het moment van schrijven zijn er volgens Anthropic 116 pull requests ingediend voor OSS Scanner. Dat geeft een indicatie dat teams de opt-in route al gebruiken om hun software te laten beoordelen.
Qua “gevonden signalen” rapporteert Anthropic ook cijfers: het bedrijf zegt meer dan 29.000 kandidaat-kwetsbaarheden te hebben geïdentificeerd in belangrijke softwareprojecten. Daarvan zijn volgens de organisatie iets meer dan 6.000 issues gerapporteerd aan maintainers, resulterend in 584 advisories tot 2 oktober 2026.
Deze aantallen zijn geen garantie voor het totale aantal echte kwetsbaarheden, maar ze laten wel zien hoe breed de scanmachine al draait en hoe vaak er inhoudelijke meldingen richting onderhoudsteams zijn gegaan.
Waarom dit initiatief relevant is voor security teams
Anthropic positioneert OSS Scanner binnen een bredere Cyber Mission. Daarbij noemt het bedrijf ook een Critical Infrastructure Defense Program gericht op het beschermen van kritieke infrastructuur én open-source software.
De onderliggende reden is duidelijk: AI helpt niet alleen verdedigers. Aanvallers kunnen AI gebruiken om sneller kwetsbaarheden te vinden, te automatiseren hoe ze aanvallen opzetten en om sneller op schaal te acteren. Dat maakt “snelle detectie en snelle fix” extra belangrijk.
Door periodiek te scannen en teams eerder feedback te geven, proberen initiatieven zoals OSS Scanner de tijd tussen het verschijnen van code en het moment van mogelijke ontdekking te verkorten.
Praktische aandachtspunten voor open-source maintainers
Als je als maintainer overweegt om OSS Scanner in te schakelen, zijn er een paar praktische punten waar je vooraf winst kunt boeken.
Zorg dat je build reproduceerbaar is
De scanner vertrouwt op een Dockerfile die dependencies installeert en de omgeving bouwt voor offline security audits. Controleer daarom dat je container-build stabiel is en dat tests daadwerkelijk binnen de containeromgeving passeren. Dat voorkomt discussies over “scanartefacten” die ontstaan door een onvolledige of wisselende setup.
Lever een bruikbaar threat model
Als je project een duidelijke scope heeft, helpt het om een threat modelbestand toe te voegen. Daarmee kun je aangeven wat getest moet worden, hoe kwetsbaarheden ingedeeld worden en welke rapportformaten je prettig vindt. Dit kan de kwaliteit van de terugkoppeling vergroten en het team helpen om sneller te prioriteren.
Wees voorbereid op model-output
Omdat de output volledig modelgegenereerd is, kun je te maken krijgen met signalen die (uiteindelijk) niet altijd bevestigd worden als echte kwetsbaarheid. Dat betekent niet dat de scanning zinloos is; het vraagt vooral om een proces bij maintainers voor het beoordelen en oppakken van meldingen.
Gerelateerd lezen: kwetsbaarheden sneller patchen
Wil je meer weten over hoe teams omgaan met kwetsbaarheden en het tempo van patchen, dan zijn deze artikelen relevant:
- Cisco patches: 35 fixes voor kritieke kwetsbaarheden
- Security awareness training: is het nog effectief?
Conclusie
Met OSS Scanner introduceert Anthropic een opt-in AI-dienst die open-source projecten periodiek scant op mogelijke kwetsbaarheden. De rapporten worden volledig door het model gegenereerd, zonder dat Anthropic menselijke review of triage noodzakelijk maakt voor de output zelf, wat sneller werken kan versnellen.
Voor open-source teams ligt de kracht vooral in de praktische aansluiting: via een GitHub pull request en een YAML-configuratie kunnen maintainers hun repository, offline buildomgeving en eventueel threat model beschikbaar stellen. Tegelijk blijft het verstandig om modeloutput te beoordelen op waarde en prioriteit—zeker omdat er geen standaard 90-dagen disclosureperiode is gepland op basis van de eerste uitkomsten.
Bron: https://thehackernews.com/2026/10/anthropic-launches-free-ai.html
